1/6 Procedimiento Nº: A/00404/2016 RESOLUCIÓN: R/02978/2016 En el procedimiento A/00404/2016, instruido por la Agencia Española de Protección de Datos a la entidad IDATA S.L.U., vista la denuncia presentada por D. A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 18 de mayo de 2016 tiene entrada en esta Agencia, denuncia interpuesta por D. A.A.A. (en adelante el denunciante), cuyos aspectos más relevantes se describen a continuación: 1. Recibe correos electrónicos en su cuenta contact@idata-info.es. B.B.B. con origen en la dirección 2. Tras solicitar la baja, el remitente le contestó informándole de que atendería su solicitud pero continúa recibiendo correos electrónicos. La denuncia aporta copia de la siguiente documentación:
- a)Solicitud de baja enviada.
- b)Respuesta recibida a la solicitud de baja enviada.
- c)Correo electrónico recibido con posterioridad a la baja, junto con su cabecera completa. SEGUNDO: En fase de actuaciones previas se tiene conocimiento de los siguientes hechos: 1. En fecha 17 de noviembre de 2015 el denunciante remite un correo electrónico desde la cuenta C.C.C. con destino a la cuenta Info@idata.es con el asunto “Baja mailing IDATA”, en el que solicitaba la baja de la cuenta de correo B.B.B.. En esa misma fecha recibe respuesta desde la cuenta D.D.D. en que se le confirma la baja del correo electrónico de los servidores de la entidad denunciada. 2. El denunciante recibe un correo electrónico de fecha 9 de mayo de 2016 emitido desde la cuenta contact@idata-info.es como destino a B.B.B. con el asunto “Discos 10Tb compatibles con los productos comercializados por IDATA”. El correo electrónico presenta un enlace para darse de baja. Los correos electrónicos contienen información comercial referente a productos y servicios de IDATA. 3. El dominio idata-info.es está registrado a nombre de IDATA S.L.U. (en lo sucesivo, el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 denunciado). El intento de acceso a idata-info.es resulta redirigido a idata.es En la página “Condiciones legales” del sitio web idata.es se identifica a IDATA como responsable del mismo. 4. La dirección IP que identifica el ordenador origen de los correos denunciados por el denunciante coincide con la del servidor de correo electrónico asociado al dominio idata-info.es. 5. En respuesta a la solicitud de información, se recibe escrito del denunciado en el que manifiesta: 5.1. El origen del dato de la dirección de correo electrónico es el propio denunciante, quien fue cliente de la entidad. 5.2. El motivo por el que, tras haber recibido la solicitud de oposición al envío de comunicaciones comerciales, se enviaron los correos electrónicos denunciados es que tras unos problemas técnicos con el sistema de mailing, se tuvo que importar desde unas copias de seguridad los datos de los servidores de mailing, motivo por el cual, la dirección de correo expresada por el cliente, volvió a integrarse en el nuevo sistema. Este nuevo sistema gestiona automáticamente las bajas de las listas de mailing, motivo por el cual, el cliente no debe de haber recibido ningún correo más desde nuestro sistema. TERCERO: Con fecha 3 de noviembre de 2016, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00404/2016, de conformidad con lo establecido en el artículo 39 bis, apartado 2, de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI). CUARTO: Con fecha 14/11/2016 se recibe en esta Agencia escrito del denunciado en el que comunica: “…No consta que desde la fecha en que solicitó la baja y la recepción de este correo, (seis meses) ni desde esa fecha hasta hoy haya recibido otro correo electrónico de mi representada aparte del denunciado, lo que demuestra que se trata de un error puntual, aislado en el tiempo y que como consta en el apartado 5.2 del Antecedente Segundo del Acuerdo fue debido a un problema técnico con el sistema de mailing que una vez detectado se tomaron las medidas oportunas para su subsanación cambiando el servidor de mailing a uno nuevo que tenemos contratado del cual los propios clientes se pueden dar de baja. La sociedad reaccionó nuevamente con diligencia contestando el mismo día al Sr A.A.A. que confirmaba que estaba de baja de la mailing list poniendo los medios necesarios para evitar que hechos aislados como el denunciado se pudieran repetir…” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 HECHOS PROBADOS PRIMERO: Con fecha de 18 de mayo de 2016 tiene entrada en esta Agencia, escrito del denunciante comunicando que recibe correos electrónicos en su cuenta B.B.B. con origen en la dirección contact@idata-info.es. Tras solicitar la baja, el remitente le contestó informándole de que atendería su solicitud pero continúa recibiendo correos electrónicos. La denuncia aporta copia de la solicitud de baja enviada, respuesta recibida a la misma y correo electrónico recibido con posterioridad a la baja, junto con su cabecera completa (folios 1 a 7). SEGUNDO: En fecha 17 de noviembre de 2015 el denunciante remite un correo electrónico desde la cuenta C.C.C. con destino a la cuenta Info@idata.es con el asunto “Baja mailing IDATA”, en el que solicitaba la baja de la cuenta de correo B.B.B.. En esa misma fecha recibe respuesta desde la cuenta D.D.D. en que se le confirma la baja del correo electrónico de los servidores de la entidad denunciada (folios 3 a 5). TERCERO: El denunciante recibe un correo electrónico de fecha 9 de mayo de 2016 emitido desde la cuenta contact@idata-info.es como destino a B.B.B. con el asunto “Discos 10Tb compatibles con los productos comercializados por IDATA”. El correo electrónico presenta un enlace para darse de baja. Los correos electrónicos contienen información comercial referente a productos y servicios de IDATA (folios 6 a 7). CUARTO: El dominio idata-info.es está registrado a nombre del denunciado. Este ha manifestado que el motivo por el que, tras haber recibido la solicitud de oposición al envío de comunicaciones comerciales, se enviaron los correos electrónicos denunciados es que tras unos problemas técnicos con el sistema de mailing, se tuvo que importar desde unas copias de seguridad los datos de los servidores de mailing, motivo por el cual, la dirección de correo expresada por el cliente, volvió a integrarse en el nuevo sistema. El nuevo sistema gestiona automáticamente las bajas de las listas de mailing, motivo por el cual, el cliente no debe de haber recibido ningún correo más desde su sistema (folios 9 y 19 a 22). FUNDAMENTOS DE DERECHO I El segundo párrafo del artículo 43.1 de la LSSI, en la redacción conferida por la Disposición Final Segunda de la Ley 9/2014, 9 de mayo, General de Telecomunicaciones, establece que “igualmente, corresponderá a la Agencia de Protección de Datos la imposición de sanciones por la comisión de las infracciones tipificadas en los artículos 38.3.c),
- d)e
- i)y 38.4.d),
- g)y
- h)de esta Ley”, otorgando, por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 tanto a la Agencia Española de Protección de Datos, la facultad para imponer sanciones por la comisión de la infracción del artículo 21 de la citada Ley, o, en su caso, apercibir al sujeto responsable en la forma prevista en el nuevo artículo 39 bis 2 de dicha norma. II Los hechos expuestos suponen la comisión, por parte del denunciado de una infracción del artículo 21.1 de la LSSI que establece: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” La citada infracción se encuentra tipificada como leve en el artículo 38.4.
- d)de dicha norma, que califica como tal “El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave.” III El artículo 39 bis.2 de la LSSI, bajo el epígrafe “Moderación de las sanciones”, estipula lo siguiente: “2. Los órganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podrán acordar no iniciar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable, a fin de que en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6
- a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)Que el órgano competente no hubiese sancionado o apercibido con anterioridad al infractor como consecuencia de la comisión de infracciones previstas en esta Ley. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado, procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” En el presente supuesto se cumplen los requisitos recogidos en las letras
- a)y
- b)del citado apartado 2 del artículo 39 bis. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que la infracción se refiere a la remisión de una única comunicación comercial y que concurren de forma significativa las circunstancias de ausencia de intencionalidad, inexistencia de perjuicios alegados por el destinatario del mensaje y falta de constancia de beneficios obtenidos por la comisión de la infracción. IV Por otro lado, debe analizarse en el presente caso la circunstancia de que el apercibimiento que correspondería de acuerdo con el art. 39 bis 2 LSSI, no tendría aparejado requerimiento o medida alguna a adoptar por el denunciado, pues el mismo ha comunicado a esta Agencia, que ha regularizado la situación irregular, sin que se pueda requerir una medida ya adoptada, que evite el envío de las comunicaciones comerciales por medios electrónicos, por todo ello procede el archivo de las presentes actuaciones. En este sentido conviene traer a colación lo dispuesto en las Sentencias de la Audiencia Nacional 455/2011 de fecha 29/11/2013 y 166/2013 de fecha 10/06/2014 que señalan que la figura del Apercibimiento tiene que llevar aparejada medidas concretas para el sujeto apercibido, ya que de otro modo se otorgaría al apercibimiento una suerte de naturaleza sancionadora, y nos hallaríamos ante la imposición de una sanción no prevista en la LSSI vulnerando los artículos 25 y 27 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público. En conclusión, la actuación administrativa procedente en Derecho es el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno al denunciado, pues así se deduce de la correcta interpretación del artículo 39 bis 2 de la LSSI, atendida su interpretación sistemática y teleológica. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR EL PROCEDIMIENTO (A/00404/2016) a IDATA S.L.U. con arreglo a lo dispuesto en el artículo 39 bis, aparado 2 de la LSSI, con relación a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 denuncia por infracción el artículo 21.1 de la LSSI, tipificada como leve en el artículo 38.4.
- d)de la citada norma. 2.- NOTIFICAR el presente Acuerdo a IDATA S.L.U. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es